Annexe 2 — Destinataires des données à caractère personnel

Traduction fournie à titre informatif. Seule la version allemande fait foi.

au contrat de sous-traitance (DPA) conformément à l’art. 28 RGPD — Tapcoat
Mise à jour : mai 2026

La présente annexe désigne l’ensemble des entités auxquelles des données à caractère personnel sont transmises ou qui traitent de telles données dans le cadre de la plateforme Tapcoat. Elle est structurée en quatre sections juridiquement distinctes :

• Section A — Sous-traitants au sens de l’art. 28 RGPD (contrat de sous-traitance obligatoire)
• Section B — Responsables conjoints du traitement au sens de l’art. 26 RGPD (accord de responsabilité conjointe au lieu d’un contrat de sous-traitance)
• Section C — Responsables du traitement autonomes (destinataires non liés par des instructions, sans contrat de sous-traitance)
• Section D — Outils sans traitement prévu de données des Clients

Le responsable du traitement autorise les sous-traitants ultérieurs énumérés à la section A. Les modifications ou ajouts sont notifiés au moins 30 jours à l’avance conformément au contrat principal ; le droit d’opposition du responsable du traitement n’en est pas affecté.

Les transferts vers des pays tiers sont indiqués dans la colonne « Garanties juridiques ». Ils sont encadrés dans chaque cas par les clauses contractuelles types de l’UE (module 2, décision d’exécution (UE) 2021/914) et — le cas échéant — par la décision d’adéquation relative à l’EU-US Data Privacy Framework du 10 juillet 2023.

Section A — Sous-traitants au sens de l’art. 28 RGPD

Section B — Responsables conjoints du traitement au sens de l’art. 26 RGPD

Pour les destinataires ci-après, un accord de responsabilité conjointe au sens de l’art. 26 RGPD est déterminant ; un contrat de sous-traitance classique au sens de l’art. 28 RGPD n’est pas applicable en l’espèce. Le traitement repose sur les consentements correspondants des personnes visitant le site web en matière de cookies et de suivi.

Section C — Responsables du traitement autonomes

Les destinataires ci-après n’agissent pas pour le compte de Tapcoat en étant liés par ses instructions, mais en qualité de responsables du traitement autonomes au sens de l’art. 4, point 7), RGPD. Il n’y a donc pas lieu de conclure un contrat de sous-traitance ; les obligations professionnelles ou de secret respectives s’appliquent.

Section D — Outils sans traitement prévu de données des Clients

Les outils ci-après sont utilisés par le personnel de Tapcoat, mais ne sont pas autorisés pour le traitement de données à caractère personnel des Clients. Une consigne interne interdit de saisir des données réelles de Clients dans ces systèmes. Si le champ d’utilisation venait à changer et que des données à caractère personnel de Clients devaient à l’avenir y être traitées, ces outils devraient impérativement être ajoutés à la section A et les responsables du traitement devraient en être informés au préalable.

Informations complémentaires

• Transferts vers des pays tiers : pour Apple, Google, DigitalOcean (pas Hetzner — traitement en Allemagne), Sentry, Cloudflare, GitHub, GitLab, HubSpot, ActiveCampaign et Dropbox, des transferts ont lieu en dehors de l’UE/EEE. Ils sont encadrés dans chaque cas par des clauses contractuelles types (module 2, décision d’exécution (UE) 2021/914) et — le cas échéant — en complément par la décision d’adéquation relative à l’EU-US Data Privacy Framework du 10 juillet 2023.
• Apple / APNs : selon ses propres déclarations, Apple Distribution International Limited ne se considère pas comme sous-traitant au sens de l’art. 28 RGPD pour l’Apple Push Notification Service (APNs), le contenu (payload) ne pouvant techniquement pas être consulté.
• Capawesome (Genz IT) : les sous-traitants ultérieurs de second rang (notamment les fournisseurs de CDN et de bases de données) sont régis par le DPA conclu entre Tapcoat et Capawesome et ne relèvent pas de la présente annexe.
• Sentry : traite des données aux États-Unis. Le masquage des adresses IP est activé côté serveur.
• Génération des pass Wallet : effectuée dans le backend de Tapcoat (DigitalOcean FRA1). Si Tapcoat recourt à l’avenir à des services externes de génération de pass, la présente liste devra être complétée en conséquence.
• Résidence des données DigitalOcean : le traitement a lieu dans les centres de données allemands des fournisseurs d’hébergement utilisés : DigitalOcean FRA1 (Francfort-sur-le-Main) et Hetzner (Falkenstein/Nuremberg).